Wer eine WordPress-Website betreibt, ist automatisch auch Administrator – ob er will oder nicht. Und genau dort beginnt das Problem: Viele Betreiber verstehen die Admin-Oberfläche als Ort, an dem man Inhalte pflegt und gelegentlich auf einen Update-Hinweis klickt. In Wirklichkeit ist der WordPress-Admin der Ort, an dem Websites gerettet oder vernichtet werden.
Dieser Artikel zeigt, worauf es wirklich ankommt – geordnet nicht nach Alphabet, sondern nach dem, was im Schadensfall am teuersten wird.
Warum die meisten Probleme vermeidbar wären
Ein gehackter WordPress-Shop, eine versehentlich gelöschte Seite, ein Update das die halbe Website zerschießt – die meisten dieser Situationen haben eines gemeinsam: Sie waren vorhersehbar. Nicht weil jemand schlechte Absichten hatte, sondern weil niemand das Grundgerüst ordentlich aufgestellt hat.
WordPress ist mächtig. Und genau diese Mächtigkeit macht es fehleranfällig, wenn man versteht, was „administrieren" bedeutet: nicht klicken, sondern absichern.
1. Updates: der unbeliebteste Job mit dem größten Hebel
Kein Thema wird häufiger aufgeschoben und hat gleichzeitig direktere Konsequenzen. Veraltete Plugins sind der mit Abstand häufigste Einstiegspunkt für Angriffe – der überwiegende Teil aller WordPress-Kompromittierungen geht auf nicht gepflegte Drittanbieter-Erweiterungen zurück.
Die Faustregel ist simpel: Sicherheitsupdates sofort, Hauptversionen erst nach dem Test.
Was viele vergessen: Major-Updates können Themes, Plugins oder individuelle Anpassungen brechen. Deshalb sollte jede WordPress-Installation eine Staging-Umgebung haben – eine separate Kopie der Live-Site, auf der Updates zuerst eingespielt und geprüft werden, bevor sie auf der echten Website landen. Die meisten Hoster richten diese heute per Klick ein.
Wer das nicht selbst managen möchte, kann Updates im Rahmen eines Wartungsvertrags auslagern. Was auch immer man wählt: das Update dauerhaft zu ignorieren ist keine Option.
2. Backups: Das Gerücht, das viele für Sicherheit halten
„Wir machen Backups" ist einer der häufigsten Sätze, die man hört – und einer der trügerischsten. Ein Backup, das nie auf Wiederherstellbarkeit getestet wurde, ist kein Backup. Es ist eine Datei, von der man hofft, dass sie im Ernstfall funktioniert.
Drei Dinge muss jedes Backup-Konzept erfüllen:
Erstens: Automatisierung. Manuelle Backups werden vergessen. Das Backup muss täglich oder zumindest mehrmals wöchentlich automatisch laufen – ohne dass jemand daran denken muss.
Zweitens: externer Speicherort. Wer die Sicherung auf demselben Server ablegt wie die Installation, hat kein Backup. Bei einem Angriff oder Serverausfall ist beides weg. Backups gehören zu einem Cloud-Dienst, einer externen Festplatte oder einem separaten Speicherort.
Drittens: Restore-Test. Mindestens einmal im Quartal sollte man prüfen, ob sich eine Sicherung tatsächlich zurückspielen lässt. Erst dann ist ein Backup ein echtes Sicherheitsnetz.
3. Zugangssicherung: Die Türen schließen, die offen stehen
Die Login-Seite von WordPress ist unter der Adresse /wp-login.php für jeden erreichbar – und genau dort versuchen automatisierte Angriffsskripte Tag und Nacht, sich einzuloggen. Das Muster ist immer gleich: Tausende von Passwörtern in kurzer Zeit ausprobieren (Brute Force), bis eines passt.
Die Gegenmaßnahmen sind nicht aufwendig, aber sie müssen konsequent umgesetzt sein:
- Ein starkes, einzigartiges Passwort – generiert von einem Passwort-Manager, nicht selbst ausgedacht.
- Zwei-Faktor-Authentifizierung (2FA) für alle Admin-Konten.
- Begrenzung der Login-Versuche pro IP-Adresse.
- Deaktivierung der XML-RPC-Schnittstelle, sofern keine App auf die Website zugreift, die sie benötigt. Diese ältere Schnittstelle ist ein beliebtes Angriffsziel und für die meisten Websites schlicht unnötig.
Ein oft übersehener Punkt: Der Standard-Benutzername „admin" sollte bei keinem Konto mehr existieren. Angreifer probieren ihn als erstes.
4. Benutzerrollen: Wer darf was – und wer nicht mehr?
WordPress hat ein abgestuftes Rechtesystem: Administrator, Redakteur, Autor, Mitarbeiter, Abonnent. Die meisten Websites vergeben zu viele Administrator-Rechte – an zu viele Personen.
Das Prinzip dahinter heißt Least Privilege: Jeder Nutzer bekommt genau die Rechte, die er für seine Aufgabe braucht – und keine mehr. Ein Texter braucht keinen Vollzugriff auf Plugins und Systemeinstellungen. Ein externer Dienstleister, der einmalig etwas angepasst hat, braucht danach gar keinen Zugriff mehr.
Besonderes Augenmerk verdienen veraltete Konten: ehemalige Mitarbeiter, alte Agentur-Zugänge, Testnutzer aus der Entwicklungsphase. Diese Konten gehören gelöscht – nicht deaktiviert, gelöscht. Ein ungenutzter Admin-Account ist eine offene Tür, vor der kein Wächter steht.
5. Die wp-config.php: Kleiner Eingriff, große Wirkung
Diese Konfigurationsdatei ist das Herzstück jeder WordPress-Installation – und gleichzeitig einer der häufigsten Ausgangspunkte für Fehler und Sicherheitsprobleme. Wer hier ein paar Zeilen anpasst, legt wichtige Schutzschalter um:
- Sicherheits-Salts regelmäßig erneuern. Diese zufälligen Schlüssel sichern Sitzungs-Cookies. Werden sie nach einer Kompromittierung nicht erneuert, bleiben aktive Sessions gültig.
- Datei-Editor deaktivieren (
DISALLOW_FILE_EDIT). Der eingebaute Editor im WordPress-Backend erlaubt es, PHP-Code direkt zu bearbeiten – ein erhebliches Sicherheitsrisiko, das die meisten Betreiber nie brauchen. - Debug-Modus ausschalten auf produktiven Websites. Aktiviertes Debugging zeigt Fehlermeldungen öffentlich an – inklusive interner Pfade und potenziell sensibler Informationen.
- Revisionen begrenzen. WordPress speichert standardmäßig unbegrenzt viele Versionen jedes Beitrags. Das bläht die Datenbank unnötig auf.
6. Plugin-Hygiene: Weniger ist mehr – und Qualität schlägt Quantität
Plugins machen WordPress flexibel. Sie machen es aber auch verwundbar, wenn man nicht genau hinschaut. Drei Gewohnheiten schützen hier besser als jedes Sicherheits-Plugin:
Weniger installieren. Jedes Plugin ist eine potenzielle Schwachstelle. Wer zehn Plugins braucht, braucht keine zwanzig.
Nur aus vertrauenswürdigen Quellen. Sogenannte „Nulled Plugins" – raubkopierte Premium-Erweiterungen aus dubiosen Quellen – sind eine der direktesten Wege, eine Website zu kompromittieren. Der vermeintlich gesparte Preis wird teuer bezahlt.
Vor der Installation prüfen. Wie lange liegt das letzte Update zurück? Wie viele aktive Installationen hat das Plugin? Gibt es einen aktiven Support-Bereich? Ein Plugin, das seit zwei Jahren nicht mehr aktualisiert wurde, ist kein Schnäppchen – es ist ein Risiko.
Und: Deinstallierte Plugins wirklich löschen. Deaktiviert bedeutet nicht sicher. Erst nach dem vollständigen Löschen ist der Code weg.
7. Performance: Nicht nur ein Komfortthema
Langsame Websites verlieren Besucher – das ist bekannt. Weniger bekannt ist, dass Google seit Jahren Ladezeiten als Ranking-Faktor berücksichtigt, unter dem Begriff Core Web Vitals. Eine träge WordPress-Seite zahlt also doppelt: mit Besucherabbrüchen und mit schlechterem Suchmaschinen-Ranking.
Die häufigsten Ursachen für schlechte Performance bei WordPress-Seiten sind nicht mangelnde Serverleistung, sondern:
- Überladene Page-Builder mit überdimensioniertem Markup
- Zu viele ungekachte Datenbankabfragen
- Nicht optimierte Bilder (kein WebP, kein Lazy Loading)
- Fehlendes Caching auf Seiten- und Datenbankebene
Caching ist dabei der einfachste und wirksamste Hebel: Eine gecachte WordPress-Seite liefert vorgerenderte HTML-Seiten aus, ohne jedes Mal PHP und die Datenbank zu befragen. Gute Caching-Plugins sind kostenlos verfügbar und in wenigen Minuten eingerichtet.
8. Datenbankpflege: Was still wächst, bremst
Die WordPress-Datenbank wächst unbemerkt – und irgendwann macht sie sich durch langsamere Ladezeiten bemerkbar. Alte Beitragsrevisionen, abgelaufene Cache-Einträge (Transients), Spam-Kommentare und verwaiste Plugin-Daten sammeln sich an.
Eine regelmäßige Datenbankoptimierung – am einfachsten über ein Wartungs-Plugin oder direkt via phpMyAdmin – hält die Installation schlank. Das ist kein aufwendiger Eingriff, aber einer, den die meisten jahrelang aufschieben.
9. DSGVO: Kein Anhang, sondern Betriebspflicht
Datenschutz in Deutschland ist keine Formalität. Wer eine WordPress-Website betreibt, trägt Verantwortung für jeden Dienst, der dabei Daten verarbeitet – und das sind mehr als man denkt.
Drei Punkte werden besonders häufig übersehen:
Google Fonts lokal einbinden. Die Einbindung über die Google-CDN überträgt Besucher-IPs an US-Server. Deutsche Gerichte haben das bereits als DSGVO-Verstoß gewertet. Fonts lassen sich mit wenig Aufwand lokal hosten – dann verlässt keine IP-Adresse den eigenen Server.
Auftragsverarbeitungsvertrag (AVV) mit dem Hoster. Wer Kundendaten oder auch nur Kontaktformular-Eingaben verarbeitet, muss mit seinem Hoster einen AVV nach Artikel 28 DSGVO abgeschlossen haben. Viele Hoster bieten diesen inzwischen digital an – aber nur wer ihn auch unterschrieben hat, ist rechtlich abgesichert.
Server in der EU. Der Serverstandort entscheidet über das anwendbare Datenschutzrecht. Wer auf einem US-Server hostet, bewegt sich rechtlich auf dünnem Eis – besonders nach dem Ende des Privacy Shield.
10. Betrieb und Monitoring: Was man nicht sieht, brennt länger
Eine WordPress-Website, die ausfällt, ohne dass es jemand bemerkt, kostet doppelt – einmal den Ausfall selbst, einmal den Imageschaden. Uptime-Monitoring ist kostenlos verfügbar (z. B. über UptimeRobot) und schickt sofort eine Benachrichtigung, wenn die Seite nicht mehr erreichbar ist.
Ebenso wichtig ist ein Aktivitätsprotokoll: Wer hat wann was geändert? Das ist bei Fehlern das erste Werkzeug zur Ursachenfindung – und bei einem Sicherheitsvorfall oft der einzige Weg, den Eintrittspunkt zu rekonstruieren.
Ein letzter, oft unterschätzter Punkt: E-Mail-Zustellung. WordPress versendet Mails über die PHP-Funktion des Servers – eine Methode, die von vielen E-Mail-Diensten als Spam eingestuft wird. Wer sicherstellen will, dass Kontaktformular-Mails, Bestellbestätigungen oder Passwort-Reset-Links wirklich ankommen, richtet einen SMTP-Versand mit SPF- und DKIM-Authentifizierung ein.
Selbst machen oder auslagern?
Nicht jeder muss alles selbst erledigen. Viele dieser Aufgaben lassen sich an einen Wartungsvertrag abgeben – Updates, Backups, Monitoring, Sicherheitsscans. Die monatlichen Kosten dafür sind überschaubar und liegen weit unter den Kosten eines einzigen Notfalleinsatzes.
Wer die Wahl hat, wählt Managed WordPress Hosting: Anbieter, die Updates, Backups und Monitoring als Teil des Hostings mitliefern. Das verkleinert den eigenen Pflegeaufwand erheblich – und verlagert die Verantwortung an Spezialisten, die das täglich tun.
Fazit: Administration ist kein Nebengeschäft
WordPress ist kein System, das sich selbst verwaltet. Wer das übersieht, merkt es früher oder später – spätestens wenn ein Morgen kommt, an dem die Website einfach weg ist.
Die gute Nachricht: Die zehn Felder, die hier besprochen wurden, sind kein Hexenwerk. Die meisten lassen sich mit ein bis zwei Stunden Aufwand einmal richtig aufsetzen und danach in einem überschaubaren Rhythmus pflegen. Das ist kein Sonderaufwand – es ist der normale Betrieb einer professionellen Website.
Wer jetzt nicht Zeit investiert, investiert später mehr – und unter deutlich schlechteren Bedingungen.
